初期設定は「全員」だった――ドイツ連邦通常裁判所 VI ZR 10/24（2024年11月18日判決）

特集「期待される安全管理措置とは何か」の素材として、EU法を適用した加盟国の国内判決を1件取り上げる。ドイツの連邦通常裁判所（Bundesgerichtshof、BGH）の第6民事部は、Facebookのスクレイピング事件を、多数の同種事件の指針となる「指導的判断手続」（Leitentscheidungsverfahren）の対象に選び（2024年10月31日決定）、本判決を言い渡した。安全管理措置の観点からの読みどころは二つある。初期設定（デフォルト）を措置の問題として扱ったこと（Rn. 86〜91）と、「最新技術に基づく安全措置」を求める差止請求を不特定として退けたこと（Rn. 56〜57）である。

1. 書誌

項目	内容
事件番号	VI ZR 10/24
判決日	2024年11月18日（口頭弁論終結 2024年11月11日）
裁判所	ドイツ連邦通常裁判所（Bundesgerichtshof）第6民事部（VI. Zivilsenat）
当事者	原告：Facebookの利用者（自然人）／被告：アイルランドに本拠を置き、Facebookを運営する会社
ECLI	ECLI:DE:BGH:2024:181124UVIZR10.24.0
前審	ボン地方裁判所 2023年3月29日判決（13 O 125/22）、ケルン上級地方裁判所 2023年12月7日判決（15 U 67/23）
結論	上告一部認容、原判決一部破棄、差戻し
公式判例集	BGHZ 登載予定の表示あり（判決冒頭「BGHZ: ja」）

2. 判決要旨と主文

段落	原文（ドイツ語）	訳文（AI訳）
判決要旨	Immaterieller Schaden im Sinne des Art. 82 Abs. 1 DSGVO kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung sein. Weder muss eine konkrete missbräuchliche Verwendung dieser Daten zum Nachteil des Betroffenen erfolgt sein noch bedarf es sonstiger zusätzlicher spürbarer negativer Folgen.	GDPR 82条1項にいう非物質的損害は、GDPRの違反の結果としての、自己の個人データに対するコントロールの単なる短時間の喪失であることもあり得る。当該データが本人の不利益に具体的に悪用されたことも、その他の追加的な顕著な不利益が生じたことも要しない。
主文	Auf die Revision des Klägers wird das Urteil des 15. Zivilsenats des Oberlandesgerichts Köln vom 7. Dezember 2023 im Kostenpunkt und insoweit aufgehoben, als die Berufung des Klägers bezüglich der Anträge auf Ersatz immateriellen Schadens (Antrag zu Ziffer 1), auf Feststellung einer Ersatzpflicht für künftige Schäden (Antrag zu Ziffer 2), auf Unterlassung der Verwendung der Telefonnummer, soweit diese nicht von der Einwilligung des Klägers gedeckt ist (Antrag zu Ziffer 3b), und auf Ersatz der vorgerichtlichen Rechtsanwaltskosten (Antrag zu Ziffer 5) zurückgewiesen worden ist. Im Übrigen wird die Revision zurückgewiesen. Im Umfang der Aufhebung wird die Sache zur neuen Verhandlung und Entscheidung, auch über die Kosten des Revisionsverfahrens, an das Berufungsgericht zurückverwiesen.	原告の上告に基づき、ケルン上級地方裁判所第15民事部の2023年12月7日の判決を、費用の点、並びに、非物質的損害の賠償（請求1）、将来の損害の賠償義務の確認（請求2）、原告の同意の範囲外での電話番号の使用の差止め（請求3b）及び訴訟前の弁護士費用の賠償（請求5）に関する原告の控訴を棄却した限度で破棄する。その余の上告を棄却する。破棄の限度で、事件を、上告審の費用を含め、新たな審理及び裁判のため控訴裁判所に差し戻す。

3. 事案の概要

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 3	Neben den immer einsehbaren Pflichtangaben können die Nutzer in ihrem Profil weitere Daten zu ihrer Person angeben und im von der Beklagten vorgegebenen Rahmen darüber entscheiden, welche anderen Gruppen von Nutzern (“Freunde”, “Freunde von Freunden”, “öffentlich”) auf diese Daten zugreifen können. Die Beklagte stellt hierfür Privatsphäre-Einstellungen zur Verfügung, mit denen die Nutzer bestimmen können, inwieweit sie Informationen, die sie zur Verfügung stellen, öffentlich einsehbar machen möchten. Über Funktion und Bedeutung der Privatsphäre-Einstellungen informierte die Beklagte ihre Nutzer im sog. Hilfebereich des Nutzerkontos. Der Kläger hatte in diesem Zusammenhang seine Arbeitsstätte öffentlich einsehbar angegeben, die Datenschutzeinstellung betreffend die Sichtbarkeit seiner Mobiltelefonnummer jedoch so gesetzt, dass diese nur für ihn sichtbar war. Bei den Suchbarkeitseinstellungen seines Profils, bei denen unter anderem festgelegt werden konnte, wer ihn anhand seiner Telefonnummer finden kann, hatte der Kläger es bei der Standardvoreinstellung “alle” belassen; diesen Kreis hätte er stattdessen auch auf “Freunde von Freunden” oder “Freunde” (ab Mai 2019 außerdem: “nur ich”) begrenzen können.	利用者は、常に閲覧可能な必須の登録事項のほかに、自己のプロフィールに自己に関するその他のデータを登録し、被告の定める枠内で、他のどの利用者グループ（「友達」「友達の友達」「公開」）がそのデータにアクセスできるかを決めることができる。被告は、そのために、提供する情報をどの範囲で公開閲覧可能にするかを利用者が決められるプライバシー設定を用意している。被告は、プライバシー設定の機能と意味について、利用者アカウントのいわゆるヘルプ欄で利用者に情報を提供していた。原告は、これに関し、勤務先を公開閲覧可能として登録していたが、携帯電話番号の表示に関するプライバシー設定は、自分だけが見られるように設定していた。他方、とりわけ誰が電話番号によって原告を見つけられるかを定めることのできるプロフィールの検索可能性の設定については、原告は標準の初期設定である「全員」のままにしていた。原告は、この範囲を「友達の友達」又は「友達」（2019年5月以降はさらに「自分のみ」）に限定することもできた。
Rn. 4	War die Suchbarkeits-Einstellung eines Nutzers – wie beim Kläger – im Hinblick auf die Telefonnummer auf “alle” gestellt, erlaubte es die von der Beklagten implementierte sog. Kontakt-Import-Funktion bis September 2019 jedem Facebook-Nutzer, das Profil eines anderen Nutzers mit Hilfe der von diesem hinterlegten Telefonnummer zu finden. Hierzu konnten Nutzer Kontakte von Mobilgeräten auf Facebook hochladen, um mit Hilfe der Telefonnummern die jeweiligen Nutzer zu finden. Dies war auch dann möglich, wenn die Zielgruppenauswahl des jeweiligen Nutzers im Hinblick auf die Telefonnummer nicht auf “öffentlich”, sondern etwa – wie hier – auf “nur ich” gestellt war.	利用者の電話番号に関する検索可能性の設定が――原告のように――「全員」になっていた場合、被告が実装したいわゆる連絡先インポート機能により、2019年9月まで、Facebookのどの利用者も、他の利用者が登録した電話番号を用いてその利用者のプロフィールを見つけることができた。そのために、利用者は、携帯端末の連絡先をFacebookにアップロードし、電話番号を用いて各利用者を見つけることができた。このことは、当該利用者の電話番号に関する公開範囲の選択が「公開」ではなく、例えば――本件のように――「自分のみ」になっていた場合にも可能であった。
Rn. 5	Im Zeitraum von Januar 2018 bis September 2019 ordneten unbekannte Dritte durch die Eingabe randomisierter Ziffernfolgen über die Kontakt-Import-Funktion des Netzwerks Telefonnummern zu Nutzerkonten zu und griffen die zu diesen Nutzern vorhandenen Daten ab (sog. Scraping). Die auf diese Weise erlangten und nunmehr mit einer Telefonnummer verknüpften Daten von ca. 533 Millionen Nutzern wurden im April 2021 im Internet öffentlich verbreitet. Hiervon waren auch persönliche Daten des Klägers (Telefonnummer in Verknüpfung mit den Daten seines Nutzerkontos, d.h. Nutzer-ID, Vorname, Nachname, Geschlecht und Arbeitsstätte) betroffen. Nach dem Vortrag des Klägers informierte die Beklagte weder die zuständige Datenschutzbehörde noch ihn selbst über den Vorfall.	2018年1月から2019年9月までの間に、氏名不詳の第三者が、ネットワークの連絡先インポート機能を通じて無作為に生成した数字列を入力することにより電話番号を利用者アカウントに対応付け、それらの利用者に関する既存のデータを取得した（いわゆるスクレイピング）。このようにして取得され、電話番号と結び付けられた約5億3,300万人の利用者のデータは、2021年4月にインターネット上で公に拡散された。原告の個人データ（利用者アカウントのデータ、すなわち利用者ID、名、姓、性別及び勤務先と結び付いた電話番号）もこれに含まれていた。原告の主張によれば、被告は、管轄のデータ保護当局にも原告自身にも、この事案を知らせなかった。

第一審（ボン地方裁判所）は請求を一部認容したが、控訴審（ケルン上級地方裁判所）は、違反の有無を判断しないまま、原告に非物質的損害が生じていないとして請求を全部棄却した（Rn. 7、10〜11）。

4. 判断

(1) 82条の要件と立証責任

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 21	Nach der Rechtsprechung des Gerichtshofes erfordert ein Schadensersatzanspruch im Sinne des Art. 82 Abs. 1 DSGVO einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß, wobei diese drei Voraussetzungen kumulativ sind (…). Die Darlegungs- und Beweislast für diese Voraussetzungen trifft die Person, die auf der Grundlage von Art. 82 Abs. 1 DSGVO den Ersatz eines (immateriellen) Schadens verlangt (…). Nicht nachzuweisen hat die betroffene Person im Rahmen eines Schadensersatzanspruches nach Art. 82 Abs. 1 DSGVO ein Verschulden des Verantwortlichen. Art. 82 DSGVO sieht vielmehr eine Haftung für vermutetes Verschulden vor, die Exkulpation obliegt nach Art. 82 Abs. 3 DSGVO dem Verantwortlichen (vgl. EuGH, Urteile vom 11. April 2024 – C-741/21, NJW 2024, 1561 Rn. 44 ff. – juris; vom 21. Dezember 2023 – C-667/21, EuZW 2024, 270 Rn. 94 – Krankenversicherung Nordrhein; vgl. ferner ErwG 146 Satz 2 DSGVO).	欧州司法裁判所の判例によれば、GDPR 82条1項にいう損害賠償請求権は、GDPRの違反、物質的又は非物質的損害の存在、及び損害と違反との間の因果関係を要し、これら三つの要件は累積的である（…）。これらの要件の主張・立証責任は、GDPR 82条1項に基づき（非物質的）損害の賠償を求める者が負う（…）。GDPR 82条1項に基づく損害賠償請求において、本人は管理者の過失を証明する必要はない。GDPR 82条は、むしろ推定された過失に基づく責任を定めており、免責の証明は、82条3項により管理者が負う（2024年4月11日 欧州司法裁判所判決 C-741/21、NJW 2024, 1561、44段以下――juris、2023年12月21日同判決 C-667/21、EuZW 2024, 270、94段――Krankenversicherung Nordrhein参照。さらにGDPR前文146項第2文参照）。
Rn. 22	Der erforderliche Verstoß gegen die Datenschutz-Grundverordnung ist revisionsrechtlich zu unterstellen, nachdem das Berufungsgericht letztlich offengelassen hat, ob eine Verletzung insbesondere von Art. 5 Abs. 1 Buchst. b, Art. 25 Abs. 2, Art. 32 Abs. 1 DSGVO vorliegt, und deshalb die hierzu erforderlichen Feststellungen nicht getroffen hat (s. hierzu aber unten B.VIII.1).	控訴裁判所は、とりわけGDPR 5条1項(b)、25条2項及び32条1項の違反があるかを結局判断せず、そのため必要な事実認定をしていないから、要件であるGDPRの違反は、上告審においては、あるものと仮定しなければならない（ただし、この点については後記B.VIII.1参照）。

(2) コントロールの喪失と損害

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 30	Schließlich hat der Gerichtshof in seiner jüngeren Rechtsprechung unter Bezugnahme auf ErwG 85 DSGVO (vgl. ferner ErwG 75 DSGVO) klargestellt, dass schon der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann, ohne dass dieser Begriff des “immateriellen Schadens” den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (…). …	最後に、欧州司法裁判所は、近時の判例において、GDPR前文85項（さらに前文75項参照）に依拠して、個人データに対するコントロールの――たとえ短時間であっても――喪失それ自体が非物質的損害となり得るのであり、この「非物質的損害」の概念は、追加的な顕著な不利益の証明を要しないことを明らかにした（…）。…
Rn. 31	Freilich muss auch insoweit die betroffene Person den Nachweis erbringen, dass sie einen solchen – d.h. in einem bloßen Kontrollverlust als solchem bestehenden – Schaden erlitten hat (…). Ist dieser Nachweis erbracht, steht der Kontrollverlust also fest, stellt dieser selbst den immateriellen Schaden dar und es bedarf keiner sich daraus entwickelnden besonderen Befürchtungen oder Ängste der betroffenen Person; diese wären lediglich geeignet, den eingetretenen immateriellen Schaden noch zu vertiefen oder zu vergrößern.	もっとも、この点でも、本人は、そのような――すなわち単なるコントロールの喪失それ自体からなる――損害を被ったことを証明しなければならない（…）。この証明がされ、コントロールの喪失が確定すれば、それ自体が非物質的損害であり、そこから生じる本人の特別な懸念や不安は必要でない。それらは、既に生じた非物質的損害をさらに深め、又は大きくするにすぎない。
Rn. 32	Aber auch dann, wenn ein Kontrollverlust nicht nachgewiesen werden kann, reicht die begründete Befürchtung einer Person, dass ihre personenbezogenen Daten aufgrund eines Verstoßes gegen die Verordnung von Dritten missbräuchlich verwendet werden, aus, um einen Schadensersatzanspruch zu begründen (…). Die Befürchtung samt ihrer negativen Folgen muss dabei ordnungsgemäß nachgewiesen sein (…). Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (…).	しかし、コントロールの喪失が証明できない場合でも、規則の違反により自己の個人データが第三者に悪用されるという、根拠のある懸念があれば、損害賠償請求権を基礎付けるのに足りる（…）。その際、懸念とその不利益は適切に証明されていなければならない（…）。これに対し、不利益の証明のない懸念の単なる主張は、権限のない第三者による悪用の純粋に仮定的なリスクと同様、足りない（…）。

(3) 「最新技術に基づく安全措置」を求める差止請求（請求3a）

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 56	(2. An diesen Anforderungen gemessen ist der Antrag des Klägers zu Ziffer 3a, mit dem er begehrt, dass die Beklagte es unterlasse, personenbezogene Daten der Klägerseite unbefugten Dritten über eine Software zum Importieren von Kontakten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzusehen, um die Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme zu verhindern, nicht hinreichend bestimmt. …) a) Insbesondere der Begriff des unbefugten Dritten, aber auch die an Art. 32 Abs. 1 DSGVO und damit an den bloßen Gesetzeswortlaut angelehnte Formulierung der “nach dem Stand der Technik möglichen Sicherheitsmaßnahmen” sowie die Formulierung “Ausnutzung des Systems für andere Zwecke als der Kontaktaufnahme” sind unbestimmt. Dem steht nicht entgegen, dass die Beklagte in der Wahl der von ihr zu ergreifenden Maßnahmen eine Auswahl haben muss, solange diese geeignet sind, das konkrete Rechtsschutzziel zu erreichen (…). Auch insoweit wäre es – auch mit Blick auf die Gewährung effektiven Rechtsschutzes (…) – dem Kläger zumutbar gewesen, die künftig zu unterlassende Verletzungshandlung weiter zu konkretisieren.	（2. これらの要件に照らすと、連絡先をインポートするソフトウェアを通じて、連絡を取る以外の目的でのシステムの悪用を防ぐための、最新技術により可能な安全措置を講じずに、原告の個人データを権限のない第三者がアクセスできるようにすることの差止めを被告に求める請求3aは、十分に特定されていない。…）a）とりわけ「権限のない第三者」の概念も、GDPR 32条1項、すなわち単なる法文の文言にならった「最新技術により可能な安全措置」という表現も、「連絡を取る以外の目的でのシステムの悪用」という表現も、不特定である。被告が講ずべき措置の選択について、それが具体的な権利保護の目的を達するのに適している限り選択の余地を持たなければならないことは、このことを妨げない（…）。この点でも――実効的な権利保護の保障の観点を踏まえても（…）――将来差し止められるべき侵害行為をさらに具体化することは、原告に期待できたはずである。
Rn. 57	b) Der Kläger begehrt sinngemäß, dass die Beklagte keine Funktion anbietet, die es Dritten erlaubt, auf seine personenbezogenen Daten zuzugreifen, wenn die Beklagte nicht durch geeignete Sicherheitsmaßnahmen einem Missbrauch dieser Funktion entgegenwirkt. Eine Eingrenzung der Verletzungshandlung findet allerdings nur insoweit statt, als auf die Kontakt-Import-Funktion Bezug genommen wird, welche der Kläger im Rahmen der Klageschrift als Einfallstor für das Datenscraping identifiziert hat. Der pauschale Hinweis auf eine Ausnutzung der Kontakt-Import-Funktion ist für eine Konkretisierung jedoch nicht hinreichend. Er lässt nicht erkennen, durch welche konkrete Maßnahme die Beklagte gegen die Datenschutz-Grundverordnung verstoßen hat, obwohl eine weiter gehende Konkretisierung – etwa durch Hinweis auf die Default-Einstellung der Suchbarkeitseinstellungen auf “alle”, sofern dies das Klageziel sein sollte – möglich gewesen wäre. Auch der Begriff der “unbefugten Personen” hätte durch eine Darlegung der konkreten Verletzungshandlung näher definiert werden können.	b）原告は、要するに、被告が適切な安全措置によってその機能の濫用に対処しないのであれば、第三者が原告の個人データにアクセスすることを可能にする機能を提供しないよう求めている。しかし、侵害行為の限定は、原告が訴状においてデータスクレイピングの侵入口と特定した連絡先インポート機能に言及している限りでしか行われていない。連絡先インポート機能の悪用に一般的に言及するだけでは、具体化として足りない。それでは、被告がどの具体的な措置によってGDPRに違反したのかが分からない。より進んだ具体化――例えば、それが請求の目的であるならば、検索可能性の設定の初期設定が「全員」であったことを指摘すること――は可能であったはずである。「権限のない者」の概念も、具体的な侵害行為を示すことにより、より詳しく定義することができたはずである。

(4) 差戻審への指示：初期設定とデータ最小化

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 86	1. Bei der Prüfung eines Verstoßes gegen die Datenschutz-Grundverordnung wird das Berufungsgericht unbeschadet der Frage möglicher weiterer Verstöße jedenfalls zu berücksichtigen haben, dass die von der Beklagten vorgenommene Voreinstellung der Suchbarkeitseinstellungen auf “alle” im Ausgangspunkt nicht dem Grundsatz der Datenminimierung entsprochen haben dürfte, wie er in Art. 5 Abs. 1 Buchst. b und c, Art. 25 Abs. 2 Satz 1 und 3 DSGVO festgehalten ist.	1. GDPRの違反を審査するに当たり、控訴裁判所は、その他の違反があり得るかという問題にかかわらず、少なくとも、被告が検索可能性の設定を「全員」に初期設定していたことは、出発点において、GDPR 5条1項(b)及び(c)並びに25条2項第1文及び第3文に定められたデータ最小化の原則に適合していなかった可能性が高いことを考慮しなければならない。
Rn. 88	b) Die Grundsätze des Art. 5 DSGVO werden durch konkrete Vorgaben zur technischen Ausgestaltung und insbesondere durch Vorgaben in Bezug auf datenschutzfreundliche Voreinstellungen in Art. 25 DSGVO konkretisiert (…). Nach Art. 25 Abs. 2 DSGVO hat der Verantwortliche demnach geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Die Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Damit beinhaltet Art. 25 Abs. 2 Satz 3 DSGVO die ausdrückliche Verpflichtung zu Voreinstellungen, die verhindern, dass die Daten ohne Weiteres, also ohne bewusste persönliche Änderung der Voreinstellung, der Öffentlichkeit oder sonst einem unbestimmten Adressatenkreis zugänglich gemacht werden (Heberlein in Ehmann/Selmayr, DSGVO, 3. Aufl., Art. 5 Rn. 31).	b）GDPR 5条の諸原則は、技術的な設計に関する具体的な定め、とりわけGDPR 25条のデータ保護に配慮した初期設定に関する定めによって具体化される（…）。したがって、GDPR 25条2項によれば、管理者は、初期設定により、原則として、それぞれの特定の処理目的に必要な個人データのみが処理されることを確保する適切な技術的及び組織的措置を講じなければならない。この義務は、収集される個人データの量、その処理の範囲、その保存期間及びそのアクセス可能性に適用される。当該措置は、とりわけ、初期設定により、本人の関与なしに個人データが不特定多数の自然人にアクセス可能とされないことを確保しなければならない。こうして、GDPR 25条2項第3文は、データが当然に、すなわち初期設定を本人が意識的に変更することなしに、公衆その他の不特定の受領者の範囲にアクセス可能とされることを防ぐ初期設定を求める明示の義務を含んでいる（Heberlein in Ehmann/Selmayr, DSGVO, 3. Aufl., Art. 5 Rn. 31）。
Rn. 90	c) Diesen Anforderungen wurde das Vorgehen der Beklagten zum maßgeblichen Zeitpunkt des Scraping-Vorfalls nicht gerecht (vgl. auch die Entscheidung der Irischen Datenschutz Kommission vom 25. November 2022 – IN-21-4-2, Rn. 182 f.; OLG Dresden, RDV 2024, 246; 247 f.; LG Freiburg, Urteil vom 15. September 2023 – 8 O 21/23, juris Rn. 118 ff.). Nach den Feststellungen des Berufungsgerichts sah die standardmäßige Voreinstellung der Beklagten für die Suchbarkeit eines Nutzerprofils über die Telefonnummer vor, dass “alle” anderen Facebook-Nutzer eine entsprechende Rufnummernsuche durchführen konnten. Gleichzeitig wurde über die Suchbarkeit der Rufnummer auch die Zugänglichkeit zu weiteren Profildaten eröffnet, was sich konkret in der Vorgehensweise der Scraper niederschlug, die den Umstand ausnutzten, über die Verknüpfung der Rufnummer sodann die “öffentlichen” personenbezogenen Daten des Nutzerprofils abzugreifen. Eine Einschränkung der Suchbarkeit konnte nur durch aktive Veränderung der Suchbarkeitseinstellungen durch den Nutzer selbst herbeigeführt werden. Datenschutzfreundlichere Einstellungsoptionen – insbesondere die erst 2019 eingeführte Suchbarkeitsoption “nur ich” – wurden demgegenüber nur als opt out-Lösungen angeboten, obwohl die Nutzbarkeit des sozialen Netzwerks als solche hiervon nicht abhing, da eine Suche auch über die Eingabe des Namens möglich gewesen wäre.	c）スクレイピング事案の基準時における被告のやり方は、これらの要件を満たしていなかった（アイルランド・データ保護委員会の2022年11月25日の決定 IN-21-4-2、182段以下、ドレスデン上級地方裁判所 RDV 2024, 246, 247 f.、フライブルク地方裁判所2023年9月15日判決 8 O 21/23、juris 118段以下も参照）。控訴裁判所の認定によれば、電話番号による利用者プロフィールの検索可能性に関する被告の標準の初期設定は、他の「全員」のFacebook利用者が当該電話番号による検索を行えるものであった。同時に、電話番号による検索可能性を通じて、その他のプロフィールデータへのアクセスも開かれていた。このことは、電話番号との結び付けを通じて利用者プロフィールの「公開」の個人データを取得するという事情を利用したスクレイパーのやり方に、具体的に現れている。検索可能性の制限は、利用者自身が検索可能性の設定を能動的に変更することによってしか実現できなかった。これに対し、よりデータ保護に配慮した設定の選択肢――とりわけ2019年になって導入された検索可能性の選択肢「自分のみ」――は、オプトアウト方式でしか提供されていなかった。ソーシャルネットワークの利用可能性それ自体はこれに依存していなかったにもかかわらず、である。氏名の入力による検索も可能だったはずだからである。
Rn. 91	d) Das Berufungsgericht wird gleichwohl noch zu prüfen haben, ob sich die von der Beklagten gewählte Voreinstellung auch im Fall des Klägers als unrechtmäßig darstellt oder ob die Vorgehensweise der Beklagten im Streitfall durch eine – hier mangels Erforderlichkeit (vgl. Art. 6 Abs. 1 Unterabs. 1 Buchst. b-f DSGVO) zur Rechtfertigung allein in Betracht kommende – Einwilligung des Klägers in die Verwendbarkeit seiner Telefonnummer im Rahmen der Suchbarkeitsfunktion gerechtfertigt ist (Art. 6 Abs. 1 Unterabs. 1 Buchst. a DSGVO; s. hierzu oben B.I.4.b.dd).	d）もっとも、控訴裁判所は、被告が選んだ初期設定が原告の場合にも違法であるか、それとも、本件における被告のやり方が、検索可能性機能の枠内での原告の電話番号の利用可能性についての原告の同意――ここでは必要性が欠けるため（GDPR 6条1項第1段(b)〜(f)参照）、正当化の根拠として考えられるのはこれのみである――によって正当化されるか（GDPR 6条1項第1段(a)。この点については前記B.I.4.b.dd参照）を、なお審査しなければならない。

(5) 賠償額の目安

段落	原文（ドイツ語）	訳文（AI訳）
Rn. 99	aa) Ist nach den Feststellungen des Gerichts allein ein Schaden in Form eines Kontrollverlusts an personenbezogenen Daten gegeben, weil weitere Schäden nicht nachgewiesen sind, hat der Tatrichter bei der Schätzung des Schadens insbesondere die etwaige Sensibilität der konkret betroffenen personenbezogenen Daten (vgl. Art. 9 Abs. 1 DSGVO) und deren typischerweise zweckgemäße Verwendung zu berücksichtigen. Weiter hat er die Art des Kontrollverlusts (begrenzter/unbegrenzter Empfängerkreis), die Dauer des Kontrollverlusts und die Möglichkeit der Wiedererlangung der Kontrolle etwa durch Entfernung einer Veröffentlichung aus dem Internet (inkl. Archiven) oder Änderung des personenbezogenen Datums (z.B. Rufnummernwechsel; neue Kreditkartennummer) in den Blick zu nehmen. Als Anhalt für einen noch effektiven Ausgleich könnte in den Fällen, in denen die Wiedererlangung der Kontrolle mit verhältnismäßigem Aufwand möglich wäre, etwa der hypothetische Aufwand für die Wiedererlangung der Kontrolle (hier insbesondere eines Rufnummernwechsels) dienen.	aa）裁判所の認定により、その他の損害が証明されていないため、個人データに対するコントロールの喪失という形の損害のみがある場合には、事実審裁判官は、損害の見積りに当たり、とりわけ、具体的に関係する個人データの機微性の有無（GDPR 9条1項参照）と、その典型的な目的に沿った使い方を考慮しなければならない。さらに、コントロールの喪失の態様（限られた受領者の範囲か、限りのない範囲か）、コントロールの喪失の期間、及び、例えばインターネット（アーカイブを含む）からの公開情報の削除や個人データの変更（例えば電話番号の変更、新しいクレジットカード番号）によりコントロールを回復できる可能性に目を向けなければならない。相当な手間でコントロールを回復できる場合には、なお実効的な塡補の目安として、例えばコントロールの回復（ここではとりわけ電話番号の変更）に要する仮定的な手間が役立ち得る。
Rn. 100	bb) Äußerst zweifelhaft erscheint daher, ob hier eine Festsetzung in “gegebenenfalls nur einstelliger Höhe” mit dem Effektivitätsgrundsatz zu vereinbaren wäre (so aber obiter OLG Celle, Urteil vom 4. April 2024 – 5 U 31/23, juris Rn. 102). Dagegen hätte der Senat von Rechts wegen keine Bedenken, den notwendigen Ausgleich für den eingetretenen Kontrollverlust als solchem in einem Fall wie dem streitgegenständlichen in einer Größenordnung von 100 € (so obiter OLG Hamm, GRUR-RS 2024, 16856 Rn. 40) zu bemessen.	bb）したがって、本件で「場合によっては1桁の額」と定めること（傍論でそのように述べるものとして、ツェレ上級地方裁判所2024年4月4日判決 5 U 31/23、juris 102段）が実効性原則と両立するかは、極めて疑わしい。これに対し、本件のような事案において、生じたコントロールの喪失それ自体に対する必要な塡補を100ユーロ〔約1万7,600円〕程度と定めることには、当部は法的な懸念を持たない（傍論でそのように述べるものとして、ハム上級地方裁判所 GRUR-RS 2024, 16856、40段）。

※原文はドイツ連邦通常裁判所の判決PDFからテキストを抽出したものである。「（…）」は筆者による引用判例・文献の省略、Rn. 30の末尾の「…」は後半（前文85項の引用とその理由）の省略、Rn. 56の括弧内はRn. 55の末尾である。引用符の字形は抽出したテキストのとおりとした。訳文は生成AIによる。

※円換算は、欧州中央銀行の参照レート（2026年10月30日、1ユーロ＝175.68円）による。

5. コメント

本判決は、損害論の判決として紹介されることが多い。判決要旨も、短時間のコントロールの喪失が損害になり得ることだけを述べる。しかし、特集の問い（裁判所は措置の何を審査するか）から読むと、三つの点が目を引く。

第一に、措置の審査の対象に、初期設定という「設計」が入っている。裁判所は、検索可能性の初期設定を「全員」にしていたことが、データ最小化の原則（5条1項(c)）と、それを具体化する25条2項の初期設定の義務に適合していなかった可能性が高いとし（Rn. 86・88）、スクレイピング当時の被告のやり方はこれらの要件を満たしていなかったと述べた（Rn. 90）。裁判所が重視したのは、制限には利用者自身の能動的な変更が必要だったこと、より保護的な選択肢がオプトアウトでしか提供されなかったこと、それがなくてもネットワークは使えたこと（氏名による検索）である（Rn. 90）。攻撃者の手口（無作為の番号の入力）を防げたかという32条の問いよりも前に、そもそも番号で誰でも検索できる設計にしておく必要があったかという25条の問いが置かれている。もっとも、これは差戻審への「指示」であり、同意による正当化の余地も残されている（Rn. 91）。違反の有無について本判決自身は判断しておらず、上告審では違反を仮定している（Rn. 22）。

第二に、32条1項の文言をなぞって「最新技術により可能な安全措置」を講じるよう求める差止請求は、不特定として退けられた（Rn. 56）。裁判所は、被告に措置の選択の余地があることは認めつつ、どの具体的な措置が違反だったのか――例えば初期設定の「全員」――を特定すべきだったとする（Rn. 57）。「最新技術」は、事後に措置の適切性を評価する基準にはなり得ても、そのままでは将来の行為を命じる内容にはならない、ということである。訴訟で措置の不備を争う側には、抽象的な基準ではなく具体的な設計・設定を指し示すことが求められる。

第三に、責任の構造は欧州司法裁判所の判例をそのまま受けている。違反・損害・因果関係の主張立証は請求者が負うが、過失は推定され、免責の証明は管理者が負う（Rn. 21。C-741/21とC-667/21を引用）。賠償額については、コントロールの喪失のみの場合の目安として100ユーロ程度を示し、その算定要素として、データの機微性、受領者の範囲、期間、回復の可能性（電話番号の変更の手間）を挙げた（Rn. 99〜100）。漏れた情報の価値を、それを取り戻す手間で測るという発想は、研究ノート「情報の価値」の関心からも興味深い。

6. 関連判決

• CJEU 2023年12月14日判決 C-340/21 Natsionalna agentsia za prihodite（ECLI:EU:C:2023:986）――本判決Rn. 24・30・32ほかが引用
• CJEU 2024年1月25日判決 C-687/21 MediaMarktSaturn（ECLI:EU:C:2024:72）――本判決Rn. 21・24・28・30・32ほかが引用
• CJEU 2024年4月11日判決 C-741/21 juris（ECLI:EU:C:2024:288）――本判決Rn. 18・21・25・28〜31・37・93・96・97ほかが引用
• CJEU 2023年12月14日判決 C-456/22 Gemeinde Ummendorf（ECLI:EU:C:2023:988）――本判決Rn. 30が引用

7. 出典

• 判決原文（ドイツ語）：ドイツ連邦通常裁判所 判例データベース VI ZR 10/24（2024年11月18日判決）PDF（出典：Bundesgerichtshof）